Farmacie

farmacie

04 Novembre 2026

---

CompuGroup Medical Italia ha risolto alcune vulnerabilità di sicurezza presenti nei propri software per farmacie e studi medici, attraverso un intervento coordinato con CSIRT Italia (Computer Security Incident Response Team), il braccio operativo dell’Agenzia per la cybersicurezza nazionale (ACN). Lo comunica l’azienda in seguito alla pubblicazione dell’alert che descrive 16 vulnerabilità in diverse soluzioni del gruppo. Le correzioni vengono distribuite automaticamente a tutte le installazioni interessate, precisa CGM Italia, e dalle analisi svolte non è emersa alcuna evidenza di sfruttamento delle vulnerabilità.

Alert ACN: accessi non autorizzati, esposizione di informazioni

L’avviso di CSIRT Italia descrive vulnerabilità riconducibili a quattro tipologie di impatto: Authentication Bypass, ossia l’aggiramento dei meccanismi di autenticazione; Information Disclosure, l’esposizione non autorizzata di informazioni; Elevation of Privilege, l’acquisizione di privilegi superiori a quelli consentiti; e Arbitrary Code Execution, l’esecuzione di codice arbitrario sul sistema interessato.
Tra le criticità segnalate figurano la presenza di credenziali amministrative incorporate nel codice, meccanismi deboli di recupero delle password e controlli di autenticazione e autorizzazione non adeguati. In determinate condizioni, questi problemi potrebbero consentire l’accesso al sistema senza credenziali legittime, anche attraverso account privilegiati, oppure operazioni non autorizzate di lettura e scrittura dei dati.

Altre vulnerabilità riguardano chiavi crittografiche private incorporate nel software, potenzialmente utilizzabili per impersonare professionisti sanitari, e la mancata verifica dell’autenticità e dell’integrità dei file acquisiti durante gli aggiornamenti. Quest’ultima condizione potrebbe consentire, in presenza delle necessarie condizioni di attacco, la sostituzione dei pacchetti con contenuti malevoli e la loro esecuzione sul sistema.
L’alert segnala inoltre informazioni sensibili conservate nei log applicativi, i registri delle attività del software: tra queste, identificativi di pazienti e professionisti sanitari, informazioni cliniche, credenziali e dati di autenticazione. Alcune vulnerabilità richiedono un accesso locale con privilegi limitati; altre possono essere sfruttate da remoto senza autenticazione, nelle condizioni descritte dall’avviso.

Ricadute per le farmacie che utilizzano Wingesfar

Tra i prodotti elencati da CSIRT Italia compare Wingesfar, nelle versioni precedenti alla 2026.07a. L’avviso comprende anche XDent e XMedical, versione 4.4.0; Venere, versione 8.33.2 e precedenti; Phronesis, versione 4.51.0.1 e precedenti; Infantia e Profim, versione 6.09.1 e precedenti.
Per le farmacie, i potenziali impatti descritti riguardano quindi la protezione degli accessi al gestionale, la riservatezza e l’integrità delle informazioni trattate e la sicurezza delle procedure di aggiornamento.
La raccomandazione di CSIRT Italia è di aggiornare i prodotti vulnerabili attraverso i canali di assistenza dedicati concordati con il produttore. e CGM Italia precisa che le correzioni vengono distribuite automaticamente alle installazioni interessate. Per le farmacie che utilizzano versioni di Wingesfar precedenti alla 2026.07a, il riferimento operativo resta quindi l’assistenza del fornitore, alla quale rivolgersi per chiarire lo stato dell’aggiornamento della propria installazione. Il comunicato non indica che la distribuzione sia già conclusa su tutti i sistemi.

CGM: correzioni e nessuna evidenza di sfruttamento

Secondo quanto riferito dall’azienda, le vulnerabilità segnalate attraverso il canale istituzionale riguardavano i sistemi di autenticazione, la distribuzione delle chiavi, la consegna degli aggiornamenti e la conservazione dei log.
L’intervento, spiega CGM Italia, è stato condotto seguendo la procedura di divulgazione coordinata delle vulnerabilità (Coordinated Vulnerability Disclosure, CVD) prevista dal decreto legislativo 138/2024, che recepisce la direttiva NIS2: CSIRT Italia ha coordinato l’analisi, mentre il produttore ha sviluppato e distribuito le correzioni prima che i dettagli fossero resi pubblici.

“La divulgazione coordinata funziona quando ciascuno fa la propria parte: chi individua una vulnerabilità la segnala attraverso il canale istituzionale, il CSIRT Italia ne coordina l’analisi, il produttore realizza e distribuisce la soluzione prima che le informazioni diventino pubbliche. È la cultura della sicurezza partecipata che la Politica nazionale CVD intende consolidare, a beneficio di tutto l’ecosistema digitale del Paese, anche in un ambito delicato come quello sanitario”, afferma Roberto Caramia, Servizio Operazioni e Gestione Crisi Cyber – Capo Divisione di CSIRT Italia. CGM Italia ribadisce che, dalle analisi svolte, non è emersa alcuna evidenza di sfruttamento delle vulnerabilità.

Fonte

https://www.acn.gov.it/portale/w/rilevate-vulnerabilita-in-prodotti-compugroup-medical 

TAG: SOFTWARE GESTIONALE, COMPUTER, FARMACIE, INFORMATICA